PT-2026-20374
CVE-2026-26960
·
تاريخ النشر
2026-02-18
·
تاريخ التحديث
2026-10-07
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
node-tar الإصدارات 7.5.7 وما قبلها
node-tar الإصدار 7.5.8
الوصف
تحتوي حزمة node-tar على ثغرة أمنية تتمثل في أنه عند استخراج ملف مضغوط يتحكم فيه المهاجم باستخدام الخيارات الافتراضية، يمكن إنشاء رابط ثابت (hardlink) داخل مجلد الاستخراج يشير إلى ملف خارج جذر الاستخراج. وهذا يتيح الوصول التعسفي للقراءة والكتابة إلى الملفات بصفة المستخدم الذي يقوم بعملية الاستخراج. تحدث هذه المشكلة بسبب التحايل على إجراءات حماية المسار، مما يحول عملية استخراج الملف المضغوط فعليًّا إلى عملية وصول مباشرة إلى نظام الملفات. تتضمن سلسلة التحايل استخدام الروابط الرمزية ورابط ثابت (hardlink) لتحقيق ذلك. وعلى وجه التحديد، تنشأ هذه الثغرة الأمنية عن عمليات التحقق من مسار الارتباط القائمة على السلاسل النصية التي لا تحل الارتباطات الرمزية على القرص، مقترنةً بالطريقة التي يتم بها حل أهداف الارتباط الثابت وموضع عمليات التحقق الأمنية في الدليل الأصلي. ويثبت نموذج إثبات المفهوم القدرة على القراءة والكتابة في الملفات الموجودة خارج دليل الاستخراج المقصود.
التوصيات
يجب تحديث الإصدارات الأقدم من 7.5.8 إلى الإصدار 7.5.8 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾